SLH-DSA: digitale handtekeningen die ook een kwantumcomputer overleven
Elke keer dat je een app installeert, een software-update binnenhaalt of inlogt op een beveiligde website, controleert je apparaat onzichtbaar een digitale handtekening. Die handtekening bewijst dat de data echt van de juiste afzender komt en onderweg niet is gemanipuleerd. SLH-DSA is de naam van een nieuwe, door de Amerikaanse overheid officieel goedgekeurde methode om zulke handtekeningen te maken — een methode die is ontworpen om ook stand te houden tegen kwantumcomputers, machines die de sloten van vandaag in theorie moeiteloos kunnen openbreken.
Vergelijk het met een postzegel met een uniek watermerk. Vandaag gebruiken we watermerken (wiskundige technieken zoals RSA en ECC) die makkelijk te controleren zijn, maar bijna onmogelijk na te maken — tenzij je over extreem krachtige rekenkracht beschikt. Een voldoende krachtige kwantumcomputer zou die watermerken in theorie kunnen namaken. SLH-DSA is een nieuw soort watermerk, gebaseerd op een heel ander wiskundig principe (hashfuncties in plaats van factorisatie van grote getallen), waarvan experts erop vertrouwen dat het ook door kwantumcomputers niet te kraken is. De afkorting staat voor Stateless Hash-based Digital Signature Algorithm, oftewel: een 'staatloze', op hashfuncties gebaseerde digitale handtekeningmethode.
Wat is het precies?
Om SLH-DSA te begrijpen, helpt het om eerst te weten wat een hashfunctie is. Een hashfunctie neemt willekeurige data — een document, een bestand, een wachtwoord — en versnippert die tot een vaste, korte reeks cijfers en letters: de 'hash' of 'vingerafdruk'. Verander je ook maar één letter in het origineel, dan verandert de hash volledig en onvoorspelbaar. Belangrijk: van een hash terugrekenen naar het origineel is in de praktijk onmogelijk. Hashfuncties zoals SHA-256 worden al decennia gebruikt en zijn extreem grondig onderzocht.
SLH-DSA bouwt op die simpele bouwsteen een heel bouwwerk van handtekeningen. Het is gebaseerd op een ouder ontwerp genaamd SPHINCS+, bedacht door een internationaal team van cryptografen waaronder Andreas Hülsing (verbonden aan de TU Eindhoven) en de bekende Amerikaanse cryptograaf Daniel J. Bernstein. SPHINCS+ combineert drie technieken: eenmalige handtekeningen (WOTS+, waarbij een sleutel maar één keer veilig te gebruiken is), een systeem dat een beperkt aantal keren mag worden hergebruikt (FORS), en Merkle-bomen — boomstructuren van hashes die het mogelijk maken miljoenen van die eenmalige sleutels te laten samenkomen in één enkele, kleine publieke sleutel.
Het woord 'staatloos' (stateless) in de naam is cruciaal. Sommige eerdere hash-gebaseerde handtekeningsystemen, zoals LMS en XMSS, moeten nauwkeurig bijhouden welke eenmalige sleutels al gebruikt zijn. Vergeet je dat, of herstel je een back-up met een oude 'stand', dan loop je het risico een sleutel dubbel te gebruiken — met desastreuze gevolgen voor de veiligheid. SLH-DSA lost dit slim op door willekeurige elementen toe te voegen bij elke handtekening, waardoor je nooit hoeft te onthouden welke sleutels je al hebt gebruikt. Dat maakt het systeem eenvoudiger en veiliger in de praktijk, ten koste van iets grotere handtekeningen en tragere ondertekening.
Het resultaat is een handtekeningsysteem waarvan de veiligheid volledig steunt op één simpele aanname: dat de gebruikte hashfunctie goed werkt. Geen ingewikkelde wiskundige structuren zoals bij lattice-gebaseerde alternatieven, alleen het herhaaldelijk versnipperen van data. Dat maakt SLH-DSA conservatief en betrouwbaar, maar ook minder efficient: handtekeningen zijn relatief groot (van ongeveer 7.000 tot 50.000 bytes, afhankelijk van de gekozen parameters) vergeleken met de tientallen tot enkele duizenden bytes van klassieke of andere post-kwantum methodes.
Wat wil men ermee bereiken?
De aanleiding is de dreiging van de kwantumcomputer. In 1994 bedacht wiskundige Peter Shor een algoritme waarmee een voldoende krachtige kwantumcomputer de wiskundige problemen waarop RSA en ECC (elliptic curve cryptography) steunen, in relatief korte tijd zou kunnen oplossen. Zulke computers bestaan vandaag nog niet op de benodigde schaal, maar de meeste experts verwachten dat ze er ooit komen — schattingen lopen uiteen van tien tot enkele decennia.
Dat klinkt misschien als een probleem voor de toekomst, maar er is een acuut risico: 'harvest now, decrypt later' (nu oogsten, later ontsleutelen). Kwaadwillenden kunnen vandaag versleuteld verkeer onderscheppen en opslaan, in de wetenschap dat ze het over tien of twintig jaar met een kwantumcomputer alsnog kunnen kraken. Voor gegevens die lang geheim moeten blijven — medische dossiers, staatsgeheimen, bedrijfsgeheimen — is dat nu al een reden om over te stappen.
Het Amerikaanse standaardisatie-instituut NIST (National Institute of Standards and Technology) startte daarom in 2016 een wereldwijde competitie om nieuwe, kwantumbestendige cryptografische standaarden te selecteren. Naast versleuteling (voor het geheimhouden van data) ging het ook om handtekeningen (voor het waarborgen van authenticiteit). SLH-DSA is een van de resultaten: een handtekeningmethode die decennia lang vertrouwd zou moeten blijven, zelfs als kwantumcomputers werkelijkheid worden.
Voorbeelden uit de praktijk
NIST publiceerde op 13 augustus 2024 drie definitieve standaarden tegelijk: FIPS 203 (ML-KEM, voor versleuteling), FIPS 204 (ML-DSA, de hoofd-handtekeningstandaard, gebaseerd op roosterwiskunde) en FIPS 205 (SLH-DSA). SLH-DSA is nadrukkelijk bedoeld als vangnet: een alternatief gebaseerd op fundamenteel andere wiskunde, voor het geval er ooit een onverwachte zwakte wordt gevonden in de roostergebaseerde methodes.
Cloudflare experimenteert sinds 2023 met post-kwantumhandtekeningen, waaronder SLH-DSA en zijn voorganger SPHINCS+, in testomgevingen voor TLS-verkeer (de beveiliging achter het slotje in je browser), om te meten wat de impact is op laadtijden en dataverkeer.
Het Open Quantum Safe-project (OQS), een academisch-industriële samenwerking, bouwde de opensource-bibliotheek liboqs, die SLH-DSA implementeert en door onderzoekers en bedrijven wordt gebruikt om de techniek te testen in bestaande protocollen zoals TLS en SSH.
In de firmware-industrie — denk aan de software die vast in chips van routers, auto's of industriële apparatuur zit gebakken — wordt SLH-DSA genoemd als kandidaat voor het ondertekenen van software-updates. Omdat dergelijke apparaten soms tientallen jaren meegaan, is de conservatieve, hashgebaseerde veiligheid van SLH-DSA daar aantrekkelijk, ondanks de grotere handtekeningen.
Ook Amerikaanse overheidsinstanties, waaronder de NSA via haar CNSA 2.0-richtlijn (Commercial National Security Algorithm Suite), noemen hash-gebaseerde handtekeningen — naast SLH-DSA specifiek ook de eerder gestandaardiseerde, statelijke varianten LMS en XMSS — als geschikt voor het beveiligen van software- en firmware-integriteit binnen nationale veiligheidssystemen.
Hoe ver is de techniek?
SLH-DSA is, in tegenstelling tot veel opkomende technologieën, geen experimenteel prototype meer: het is sinds augustus 2024 een formele, definitieve Amerikaanse overheidsstandaard (FIPS 205). De onderliggende ideeën zijn bovendien niet nieuw — hash-gebaseerde handtekeningen bestaan sinds de jaren zeventig (het originele concept, de Lamport-handtekening, dateert uit 1979) en worden daarom als wiskundig zeer goed doorgrond beschouwd, wat vertrouwen geeft in de veiligheid.
De praktische uitrol staat echter nog aan het begin. Belangrijkste obstakel is de omvang: handtekeningen van tientallen kilobytes zijn honderden keren groter dan de handtekeningen die we nu gewend zijn. Voor toepassingen met beperkte bandbreedte of opslag — zoals sommige IoT-apparaten (kleine, verbonden apparaten zoals sensoren) — kan dat een reëel probleem zijn. Ook het ondertekenen zelf (niet het verifiëren, dat blijft snel) kan merkbaar trager zijn dan bij klassieke of roostergebaseerde methodes.
Software-bibliotheken die SLH-DSA ondersteunen zijn beschikbaar (onder meer via OpenSSL, BoringSSL en liboqs), maar brede integratie in browsers, besturingssystemen en communicatieprotocollen bevindt zich nog in een vroeg, experimenteel stadium. De verwachting binnen de sector is dat ML-DSA de komende jaren de belangrijkste, veelgebruikte standaard wordt vanwege de compactere handtekeningen, terwijl SLH-DSA vooral wordt ingezet in niche-toepassingen waar maximale, conservatieve zekerheid zwaarder weegt dan efficiëntie.
Wie werken eraan?
Het wetenschappelijke fundament werd gelegd door een internationaal onderzoeksteam achter SPHINCS (2015) en later SPHINCS+ (2017), met bijdragen van onderzoekers verbonden aan onder meer de Ruhr-Universität Bochum (Duitsland), Radboud Universiteit en de TU Eindhoven (Nederland) — met name Andreas Hülsing — en de Universiteit van Illinois in Chicago, waar Daniel J. Bernstein werkzaam is.
De officiële standaardisatie wordt getrokken door NIST, het Amerikaanse overheidsinstituut voor standaarden, dat sinds 2016 tientallen internationale onderzoeksgroepen liet meedingen en de voortgang publiekelijk documenteert. Techbedrijven als Google, Cloudflare, IBM, Microsoft en Amazon zijn actief betrokken bij het testen en implementeren van SLH-DSA in hun infrastructuur, vaak in samenwerking met het Open Quantum Safe-project.
Ook Europese instanties volgen de ontwikkeling op de voet: het Duitse BSI (Bundesamt für Sicherheit in der Informationstechnik) en de Franse ANSSI publiceren eigen aanbevelingen over post-kwantumcryptografie, waarin hash-gebaseerde handtekeningen als SLH-DSA regelmatig worden genoemd als veilige, conservatieve keuze naast de nieuwere roostergebaseerde standaarden.